CVE-2026-73650 in SVGO
Résumé
par VulDB • 13/08/2026
SVGO, abréviation de SVG Optimizer, est une bibliothèque et une application en ligne de commande Node.js destinées à l'optimisation des fichiers SVG. À partir de la version 1.0.0 jusqu'aux versions 2.8.3, 3.3.4 et 4.0.2, le plugin removeScripts (nommé removeScriptElement dans les versions 1 à 3) peut laisser du contenu exécutable dans les SVG optimisés car il ne supprime pas les éléments script avec espace de noms ou préfixés tels que `<svg:script>` et, dans les versions 3 et 4, effectue une correspondance sensible à la casse des URI JavaScript. Les applications qui traitent un entrée SVG non fiable en activant ce plugin et servent le résultat peuvent permettre l'exécution de scripts lorsqu'un autre utilisateur ouvre le fichier SVG, exposant ainsi le stockage local ou les cookies. Ce problème est corrigé dans les versions 2.8.3, 3.3.4 et 4.0.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.